IT-forensisch onderzoek · Advocaten en strafrechtadvocaten

Hoe wordt gecontroleerd of een gevonden bestand afkomstig is uit een back-up en niet uit actief gebruik?

Eine Datei auf einem sichergestellten Gerät beweist nicht, dass der Nutzer sie dort gespeichert oder geöffnet hat. Sie kann durch eine Wiederherstellung aus einem Backup, eine Gerätemigration, eine Cloud-Synchronisation oder einen automatischen Import auf das Gerät gelangt sein.

Vrijblijvend informeren

Waarom deze vraag belangrijk is voor de strafrechtelijke verdediging

Juist bij digitaal bewijsmateriaal kunnen kleine verschillen in gegevensbron, systeemcontext of tijdsemantiek de conclusie van een bevinding aanzienlijk beïnvloeden. Voor de verdediging is het daarom van cruciaal belang of de belastende conclusie daadwerkelijk uit de primaire gegevens voortvloeit of dat een technisch grondiger beoordeling nodig is.

Technische achtergrond

Typisch sind iCloud- oder iTunes-Wiederherstellungen auf neue iPhones, Migrationsassistenten unter macOS, Windows-Profilübernahmen und OneDrive-/Google-Drive-Synchronisation. Solche Vorgänge erzeugen charakteristische Zeitmuster: viele Dateien mit nahezu identischen Erstellungszeiten, Restore-Protokolle, fehlende Nutzungsspuren.

Relevante Spuren und Datenquellen

  • Dateisystemzeiten im Vergleich (Erstellt vs. Geändert)
  • Restore- und Migrationsprotokolle
  • Nutzungsspuren: zuletzt geöffnet, Thumbnails, Jump Lists, LNK-Dateien, iOS-Biome/KnowledgeC
  • Cloud-Sync-Datenbanken

Grenzen

  • Fehlende Nutzungsspuren sind ein Indiz, kein Beweis für Nicht-Nutzung.
  • Ohne Rohdaten ist nur eine Prüfung der Methodik der Ermittlungsakte möglich.

Mogelijke resultaten

  • Datei mit hoher Wahrscheinlichkeit aus Restore/Migration übernommen
  • Nutzungsspuren vorhanden (Zeitpunkte)
  • Keine Aussage möglich – mit Begründung

Waarom LanCologne?

Na inzage in het dossier of zodra de verdediging op rechtmatige wijze over technisch relevante documenten beschikt, kan een onafhankelijke kruiscontrole de werkelijke bewijskracht van digitale bevindingen aan het licht brengen. LanCologne streeft daarbij niet per se naar het vinden van een fout in het onderzoeksdossier.

Zo gaan we te werk

  • Feststellung, wie die Datei auf das Gerät gelangt ist.
  • Prüfung auf Nutzungsspuren nach diesem Zeitpunkt.
  • Bewertung mit Gegenhypothesen in einer Stellungnahme.

Belastende, ontlastende en onduidelijke bevindingen

Een onafhankelijk onderzoek is alleen geloofwaardig als ook belastende bevindingen worden bevestigd zodra de gegevens daar aanleiding toe geven. Evenzo worden ontlastende tegenbevindingen of onoplosbare onzekerheden duidelijk vermeld. Een proces dat technisch gezien alleen maar mogelijk is, wordt niet als een vaststaand feit gepresenteerd.

Begrijpelijk voor de strafrechtadvocaat – technisch controleerbaar voor andere forensische deskundigen

De belangrijkste bevinding wordt in duidelijke taal toegelicht. Voor het onderzoek relevante gegevensbronnen, integriteitsinformatie, tijdsaanduidingen, ID’s, bronnen van ruwe gegevens en methodologische stappen worden zodanig gedocumenteerd dat een andere gekwalificeerde IT-forensisch onderzoeker de essentiële bevindingen inhoudelijk kan nagaan.

LanCologne als onafhankelijke technische ondersteuning van de strafrechtelijke verdediging

Wanneer een strafrechtadvocaat een digitaal sleutelrapport of een technische conclusie uit het onderzoeksdossier onafhankelijk wil laten toetsen, biedt LanCologne ondersteuning in de vorm van een objectieve en onbevooroordeelde tegencontrole. Het doel is een betrouwbaar antwoord te krijgen op de vraag wat de beschikbare gegevens daadwerkelijk aantonen – en waar hun zeggingskracht ophoudt.

Wettelijk kader

Het recht van de verdediger op inzage in de stukken en op het onderzoeken van bewijsstukken is geregeld in § 147 van het Wetboek van Strafvordering. Krachtens lid 1 is de verdediger bevoegd om de stukken die bij de rechtbank aanwezig zijn of die in geval van een tenlastelegging moeten worden overgelegd, in te zien en om officieel bewaarde bewijsstukken te onderzoeken. Vóór de afronding van het onderzoek kan de inzage overeenkomstig lid 2 onder de daar genoemde voorwaarden worden beperkt. Overeenkomstig lid 3 mag de inzage in rapporten van deskundigen aan de verdediger in geen enkele fase van de procedure worden ontzegd.

Deze rechten komen de verdediger toe, niet aan LanCologne. Een technische tegencontrole door een particulier ingeschakelde IT-forensisch expert vereist dat de verdediging de betreffende documenten of gegevens op rechtmatige wijze ter beschikking kan stellen. LanCologne verkrijgt door de opdracht geen eigen recht op inzage in het dossier, op bezichtiging of op toegang ten opzichte van het Openbaar Ministerie of de politie.

§ 160, lid 2, van het Wetboek van Strafvordering verplicht het Openbaar Ministerie uitdrukkelijk om zowel belastende als ontlastende omstandigheden te onderzoeken. Volgens § 163a, lid 2, van het Wetboek van Strafvordering moet bewijs dat door de verdachte ter ontlastingen is aangevraagd, worden verzameld indien dit van belang is. Een onafhankelijk technisch onderzoek kan daarom feiten en tegenbevindingen opleveren, waarvan de strafrechtadvocaat beoordeelt of deze in de procedure kunnen worden gebruikt.

Wat betreft elektronisch bewijsmateriaal dat door de autoriteiten in beslag is genomen, in beslag is gesteld of is onderzocht, moeten met name de artikelen 94, 98 en 110 van het Wetboek van Strafvordering in acht worden genomen. Deze bepalingen verlenen een particulier ingeschakelde IT-forensisch expert geen overheidsbevoegdheden.

Een IT-forensisch deskundige die particulier door de verdediging is ingeschakeld, is niet louter op grond van deze opdracht een formeel aangestelde deskundige in de zin van §§ 72 e.v. StPO. Particuliere rapporten, technisch advies en een formele aanstelling als deskundige moeten in procesrechtelijk opzicht van elkaar worden onderscheiden.

Indien het onderzoek onvoldoende aanleiding geeft tot het instellen van een openbare vervolging, seponeert het Openbaar Ministerie de zaak overeenkomstig § 170, lid 2, van het Wetboek van Strafvordering. Een technische bevinding van de verdediging garandeert een dergelijke beslissing niet, maar kan wel een relevant onderdeel van de feitelijke grondslag vormen.

Veelgestelde vragen

Moet een technische tegencontrole tot een ander resultaat leiden dan dat van de onderzoeksinstantie?+
Nee. Een gedegen controleverschijnsel kan de eerste bevinding bevestigen, relativeren of weerleggen. Het gaat om de gegevens, niet om het gewenste resultaat.
Kan LanCologne zelf inzage in het dossier vragen op grond van § 147 StPO?+
Nee. Dat recht komt de verdediger toe. LanCologne mag alleen documenten en gegevens onderzoeken die rechtmatig ter technische controle zijn overgedragen.
Is een verklaring van de verdediging automatisch een deskundigenrapport in de zin van §§ 72 e.v. van het Wetboek van Strafvordering?+
Nee. Er moet een onderscheid worden gemaakt tussen een particulier in opdracht gegeven advies of een particulier rapport en het formeel inschakelen van een deskundige in een strafrechtelijke procedure.
Kan een technisch tegenbewijs garanderen dat de procedure wordt stopgezet?+
Nee. De beslissing wordt genomen door het Openbaar Ministerie, of later door de rechtbank. Het tegenbewijs kan echter een solide technische feitelijke basis bieden.
Woran erkennt man eine Backup-Wiederherstellung?+
An typischen Zeitmustern, Restore-Protokollen und an der Herkunft ganzer Dateigruppen.
Reicht der behördliche Report dafür?+
Meist nicht, weil Reports Dateien zeigen, aber selten deren Herkunft erklären.
Gilt das auch für Bilder in Messenger-Ordnern?+
Ja. Automatische Downloads sind ein eigenes, häufiges Szenario.

Gerelateerde onderwerpen

LanCologne – IT-forensisch onderzoek voor advocaten en strafrechtadvocaten

Heeft u een digitale vraag? LanCologne ondersteunt u met een objectief, onbevooroordeeld IT-forensisch onderzoek.

Nu contact opnemen